Detecte mensagens de Email falsificado no ESA e crie exceções para os remetentes que são permitidos ao spoof

Crie um filtro da mensagem

Em seguida, você precisará de criar um filtro da mensagem a fim leverage o dicionário apenas criado, “VALID_INTERNAL_DOMAINS”:

1. Conecte ao comando line interface(cli) do ESA.
2. Execute os filtros do comando.
3. Execute o comando new criar um filtro novo da mensagem.
4. A cópia e cola o seguinte exemplo do filtro, fazendo edita para seus nomes do grupo reais do remetente se necessário:
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

   
   
   
   
5. Retorne à alerta principal CLI e a corrida compromete para salvar a configuração.
6. Navegue ao GUI > políticas do correio > filtros satisfeitos entrantes
7. Crie o filtro satisfeito entrante que toma a ação no X-spoof do encabeçamento do spoof:
   1. Adicionar o outro encabeçamento
   2. Nome do encabeçamento: X-spoof
   3. O encabeçamento existe botão de rádio
   4. Adicionar a ação: duplicata-quarentena (“política "). 
      

      Note: A característica duplicada da mensagem mostrada aqui manterá uma cópia da mensagem, e continua a enviar o mensagem original ao receptor. 

      
      
      
      
      
      
8. Ligue o filtro satisfeito às políticas do correio recebido em GUI > políticas do correio recebido de Policies> do correio
9. Submeta e comprometa mudanças

Adicionar Spoof-exceções a MY_TRUSTED_SPOOF_HOSTS

Finalmente, você precisará de adicionar spoof-exceções (endereços IP de Um ou Mais Servidores Cisco ICM NT ou nomes de host) ao sendergroup MY_TRUSTED_SPOOF_HOSTS. 

1. Navegue através da Web GUI: Envie políticas > vista geral do CHAPÉU
2. Clique e abra o grupo do remetente MY_TRUSTED_SPOOF_HOSTS.
3. Clique sobre “adicionam o remetente…” para adicionar um endereço IP de Um ou Mais Servidores Cisco ICM NT, uma escala, um nome de host, ou um nome de host parcial.
4. O clique submete-se para salvar as mudanças do remetente.
5. Finalmente, o clique compromete mudanças para salvar a configuração.

Exemplo:

Verificar

Verifique que as mensagens falsificado Quarantined

Envie um mensagem de teste que especifica um de seus domínios como o remetente do envelope. Valide o filtro está trabalhando como esperado executando uma trilha da mensagem nessa mensagem. O resultado esperado é que a mensagem obterá quarantined porque nós não criamos nenhuma exceções contudo para aqueles remetentes são permitidos que ao spoof. 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <test_user@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

Verifique que mensagens da Spoof-exceção está sendo entregada

Os remetentes da “Spoof-exceção” são endereços IP de Um ou Mais Servidores Cisco ICM NT em seus grupos do remetente providos no filtro acima.

RELAYLIST é provido porque é usado pelo ESA para enviar o correio de partida. As mensagens que estão sendo enviadas por RELAYLIST são correio tipicamente de partida, e não incluir isto criaria falsos positivos, ou mensagens externa que estão sendo quarantined pelo filtro acima.

Exemplo do rastreamento de mensagem de um endereço IP de Um ou Mais Servidores Cisco ICM NT da “Spoof-exceção” que fosse a MY_TRUSTED_SPOOF_HOSTS. A ação prevista sido entrega e não quarantine. (Este IP é permitido ao spoof).

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <test_user@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

Informações Relacionadas

• Filtração falsificado do correio ESA
• Proteção do spoof usando a verificação do remetente